يُعدّ تقسيم الشبكات من أكثر جوانب أمن OT أهميةً وإهمالاً. ففي كثير من المنشآت، تتحول شبكة OT بمرور السنوات إلى شبكة مسطحة بدعوى «تسهيل إدارتها»: شبكة VLAN واحدة، ونطاق بث واحد، وكل جهاز يتواصل مع بقية الأجهزة. وهذه البنية حلم للمهاجم، إذ تمنحه مجالاً واسعاً للتحرك بعد الاختراق الأولي؛ فلا تعترضه حواجز عند الانتقال من جهاز إلى آخر.

سيناريو مقلق: يُصاب حاسوب محمول مخصص للصيانة ببرمجية خبيثة نتيجة تصيد احتيالي ضمن بيئة IT. ثم يُنقل الحاسوب إلى الموقع لأعمال الصيانة ويُوصَل بمبدّل الشبكة. وبما أن الشبكة الداخلية مسطحة، يستطيع الحاسوب الوصول بسهولة إلى واجهات HMI ومحطة العمل الهندسية وخادم أرشفة البيانات التاريخية. ويبدأ سلوك شبيه بالدودة الشبكية، إذ ينتقل إلى كل جهاز لديه مشاركة SMB ضعيفة الحماية. والنتيجة: شاشات HMI مقفلة، وخدمات SCADA متوقفة، والإنتاج متوقف. والجذر المشترك لهذا الحادث هو «الشبكة المسطحة».

هدف تقسيم الشبكة بسيط: إذا تعرّض جزء للاختراق، فلا يمتد الاختراق إلى الجميع. الطريقة العملية لتحقيق ذلك في OT هي اعتماد نهج المناطق/قنوات الاتصال الوارد في IEC 62443:

  • المنطقة: مجموعة أصول ذات درجات حرجية واحتياجات أمنية متشابهة

  • قناة الاتصال: مسار اتصال خاضع للتحكم بين المناطق (جدار حماية/ACL/IPS)

مثال على تقسيم جيد للشبكة:

  • شبكة IT المؤسسية

  • DMZ (منطقة عازلة بين OT وIT)

  • شبكة إدارة OT (خادم وسيط للوصول، ومستودع تحديثات، وNTP)

  • شبكة التحكم (PLC/RTU)

  • العرض المرئي (HMI/SCADA)

  • المراقبة الأمنية (مُجمّع بيانات NDR/SIEM)

  • منطقة وصول المورّدين (مع تسجيل الجلسات وتقييدها زمنياً)

نقاط حاسمة عند تنفيذ هذا التقسيم:

  • نهج «المنع الافتراضي»: لا تسمح بكل شيء. حدّد تدفقات الاتصال المطلوبة فقط.

  • مراعاة خصائص البروتوكولات: تستخدم بروتوكولات OT أحياناً البث العام/رسائل إبقاء الاتصال. ويجب تصميم القواعد بعناية بما يتناسب مع ذلك.

  • الحد من الحركة الجانبية: هل تحتاج واجهة HMI إلى الوصول إلى جميع وحدات PLC، أم إلى وحدات PLC الخاصة بخط الإنتاج المعني فقط؟

  • فصل حركة مرور الإدارة: يجب ألا تكون محطة العمل الهندسية وحركة بيانات التحكم في الإنتاج ضمن مقطع الشبكة نفسه.

  • قابلية الرصد: يجب تسجيل تدفقات البيانات بين مقاطع الشبكة وتوثيق تغييرات القواعد.

حجة مقنعة من منظور التكلفة: قد يبدو الاستثمار في تقسيم الشبكة إلى مقاطع وكأنه «جدار حماية إضافي». لكن توقف المصنع بالكامل بسبب حادث واحد أكثر كلفة بأضعاف من تقسيم الشبكة. فتقسيم الشبكة يبطئ تقدّم المهاجم. وكلما خسر المهاجم مزيداً من الوقت، زاد احتمال اكتشافه. وهذا تحديداً ما تحتاج إلى كسبه في بيئة OT: الوقت.